Изпратили чужди документи на имейла на жалбоподателя
Румънският национален надзорен орган за защита на личните данни (ANSPDCP) през юли 2022 г. приключва разследване в оператора Enel Energie Muntenia SA, в резултат на което е установено нарушение на разпоредбите на Общия регламент относно защитата на данните (GDPR). Операторът е наказан за нарушението с глоба и предупреждение:
- Глобата е в размер на 49 337 леи (равностойността на 10 000 евро) за нарушаване на разпоредбите на чл. 32 от GDPR;
- Предупреждението е за нарушение на разпоредбите на чл. 33 GDPR.
Разследването започва в резултат на жалба от физическо лице, което съобщава, че след телефонно запитване до Enel Energie Muntenia SA е получило на своя имейл адрес от contacteem.ro @ enel.com отговор, адресиран до друг клиент , физическо лице, придружени с определени документи, които могат да бъдат прегледани.
По време на проведеното разследване надзорният орган отбелязва, че операторът Enel Energie Muntenia SA не представя ясна информация относно причините, поради които един от неговите служители по погрешка е изпратил отговора на жалбоподателя.
Освен това операторът не предостави доказателства, че е предприел коригиращи мерки за намаляване на риска, на който са били изложени личните данни, и за предотвратяване на бъдещо незаконно разкриване или достъп до личните данни.
Операторът не е предоставил доказателства за уведомяване на Националния надзорен орган за този инцидент. Или предвид обстоятелствата на този случай, описани по-горе, инцидентът със сигурността е трябвало да бъде докладван на основание чл. 33 от GDPR, в рамките на не повече от 72 часа от датата, на която операторът Enel Energie Muntenia SA е узнал за това.
Като администратор на лични данни операторът Enel Energie Muntenia SA е глобен, тъй като не е предприел достатъчни мерки за сигурност съгласно чл. 32 от GDPR, факт, довел до инцидент със сигурността чрез изпращане на документи, съдържащи видимо лични данни, на трето лице по електронна поща.
Предупреждението е, защото не е уведомил надзорния орган.
Също така, на основание чл. 58, параграф 2, буква „г“ от GDPR, са предприети срещу оператора Enel Energie Muntenia SA:
– коригиращата мярка за осигуряване на съответствие с GDPR на операциите по обработка на лични данни, чрез прилагане на технически и организационни мерки за сигурност, подходящи за спецификата на обработката и идентифицираните рискове, през целия цикъл на обработка на данни, особено по отношение на обучението на лицата, които обработват данни под негово правомощие (служители или сътрудници), на редовната проверка на спазването на изпратените до тях инструкции, на автоматизирането на определени процеси за намаляване на рисковете от незаконна или неразрешена обработка на лични данни, както и бързото откриване, управление и докладване на ситуации на нарушаване на сигурността на личните данни;
– коригиращата мярка за осигуряване на съответствието на операциите по обработка на лични данни с GDPR, за контакт с жалбоподателя (на неговия/нейния имейл адрес), за да се поиска от него/нея да предприеме мерки за изтриване, унищожаване, според случая, на личната информация, до която е имал достъп след получаване по имейл на кореспонденция, адресирана до трето лице;
– коригиращата мярка за осигуряване на съответствието на операциите по обработка на лични данни с GDPR, чрез приемане на вътрешни мерки за намаляване на рисковете, на които са били изложени личните данни на третата страна, за да се предотврати разкриването или незаконния достъп до личните данни на неговите/нейните лични данни.